Wer heute in der Schweiz eine Cyberversicherung abschliessen will, sieht sich einem umfangreichen Fragenkatalog gegenüber. Versicherer erwarten konkrete IT-Massnahmen – von MFA und EDR bis zu getesteten Backups und einem schriftlichen Incident-Response-Plan. Dieser Artikel zeigt, welche acht Anforderungen typischerweise erwartet werden, welche Nachweise nötig sind und wie KMU den Aufwand realistisch einschätzen können.
Eine Cyberversicherung gehört für viele Schweizer KMU inzwischen zur Risikoabsicherung. Wer eine Police abschliessen möchte, sieht sich dabei einem umfangreichen Fragenkatalog zur eigenen IT-Sicherheit gegenüber. Seit einigen Jahren verschärfen die Versicherer ihre Anforderungen spürbar – im Hintergrund steht die Erfahrung, dass die Schadenfälle in der Schweiz zunehmen und gut vorbereitete Unternehmen seltener betroffen sind.
Ein Beispiel aus der Praxis: Als im Herbst 2023 die IT-Infrastruktur des Haustechnikers Meier Tobler durch einen Cyberangriff vollständig ausser Betrieb gesetzt wurde, stand die Warenauslieferung mehrere Tage still. Vier Arbeitstage dauerte der Ausfall trotz Krisenstab und Notfallprozeduren – mit einem Umsatzverlust in Millionenhöhe. Ein anderes Beispiel: Beim Bürobedarf-Grossisten Offix wurden Datenbanken gelöscht und Schnittstellen zu Grosskunden unterbrochen, die Hacker forderten rund 350'000 Franken Lösegeld. Beide Unternehmen waren im Vorfeld gegen Cyberrisiken nicht oder unzureichend abgesichert.
Warum die Anforderungen gestiegen sind
Laut der jährlichen Cyberversicherungserhebung des Schweizerischen Versicherungsverbandes (SVV) sind in der Schweiz rund 72'000 Unternehmen gegen Cyberrisiken versichert. Das entspricht etwa 11,5 Prozent aller hier domizilierten Unternehmen – bei Grosskonzernen liegt die Quote über 50 Prozent. Das Prämienvolumen im Firmenkundengeschäft betrug im Geschäftsjahr 2025 rund 153 Millionen Franken und ist einer der am stärksten wachsenden Versicherungsbereiche in der Schweiz.
Eine aktuelle Befragung der Deloitte, die der SVV im August 2026 zitiert hat, zeigt die Diskrepanz zwischen Wahrnehmung und Realität: 49 Prozent der Mitarbeitenden in Schweizer Unternehmen haben in den letzten drei Monaten einen ernsthaften Cybervorfall erlebt – aber nur 22 Prozent schätzen das Cyberrisiko ihres Unternehmens als hoch ein. Besonders ausgeprägt ist diese Diskrepanz bei kleineren Betrieben. Der erstmals erhobene KMU-Cybersicherheitsindex erreicht nur 58 von 100 Punkten – mit deutlichen Lücken bei Authentifizierung, regelmässigen Schulungen und Phishing-Tests.
Der Schweizer Cyberversicherungsmarkt im Überblick
Welche Versicherer in der Schweiz Cyber-Policen anbieten, hat der SVV in einer Übersicht zusammengestellt. Die folgende Verteilung zeigt, dass der Markt breit aufgestellt ist – mit einigen bekannten Namen an der Spitze und einer grösseren Gruppe weiterer Anbieter.
Schweizer Anbieter von Cyberversicherungen
Quelle: SVV-Übersicht «Was ist eine Cyberversicherung» (Stand 2025). Indikative Gewichtung; die genauen Marktanteile werden von den Versicherern nicht offengelegt.
Diese Verteilung ist eine indikative Annäherung auf Basis der SVV-Mitgliederliste und beobachtbarer Marktstellung. Versicherer veröffentlichen keine detaillierten Marktanteile – die absoluten Zahlen variieren je nach Quelle.
Die acht IT-Voraussetzungen, die typischerweise erwartet werden
Was genau erwartet wird, variiert je nach Versicherer. Eine Reihe von Massnahmen hat sich in den vergangenen Jahren jedoch als faktischer Standard etabliert. Die folgende Übersicht orientiert sich an gängigen Antrags-Fragebögen sowie an Empfehlungen des SVV und der Allianz Digitale Sicherheit Schweiz. Konkret gefragt wird heute meist nach den folgenden acht Punkten – die Reihenfolge entspricht der Häufigkeit, mit der sie in Anträgen explizit abgefragt werden.
Wie häufig Versicherer diese Massnahmen konkret abfragen
Quelle: CyberDirekt-Marktanalyse «Risikofragen 2024» (DE) sowie Branchen-Standards. Die Werte sind für die Schweiz weitgehend übertragbar; konkrete Prozente können je nach Versicherer variieren.
1. Multi-Faktor-Authentifizierung (MFA)
Multi-Faktor-Authentifizierung gehört heute zu den Standard-Anforderungen. Die meisten Versicherer erwarten, dass der Zugriff auf E-Mail, Cloud-Anwendungen, VPN und administrative Konten nicht ausschliesslich über ein Passwort abgesichert ist. Eine reine Passwort-Authentifizierung wird heute kaum noch akzeptiert – unabhängig davon, ob die Police für ein kleines oder grösseres KMU abgeschlossen wird.
In der Praxis bedeutet das: Conditional-Access-Richtlinien in Microsoft 365, MFA-Pflicht für VPN-Zugänge und separate Konten für administrative Aufgaben. Viele Versicherer verlangen explizit den Nachweis, dass auch privilegierte Konten mit MFA abgesichert sind.
2. Endpoint Detection & Response (EDR)
Eine reine Antivirenlösung wird heute von vielen Versicherern nicht mehr als ausreichend anerkannt. Erwartet wird in der Regel ein verhaltensbasiertes System, das verdächtige Aktivitäten erkennt und automatisch darauf reagieren kann. Solche EDR-Lösungen werden typischerweise auf Laptops, Desktops und Servern installiert und zentral überwacht – gerade bei grösseren KMU mit komplexer IT-Infrastruktur.
Der SVV empfiehlt Unternehmen mit 30 oder mehr PC-Arbeitsplätzen ausdrücklich die Auseinandersetzung mit MDR/SOC-Diensten (Managed Detection and Response / Security Operations Center). In seinem MDR-Leitfaden vom April 2025 skizziert der Verband drei Stufen – von der Basisvariante mit EDR-Agent und Active-Directory-Integration über die Standardvariante mit 24/7-Reaktionsprozess bis zur umfassenden Variante mit Cloud- und Applikationsüberwachung.
3. Firewall und Netzwerksegmentierung
Eine Firewall wird als selbstverständlich vorausgesetzt – die wenigsten Versicherer formulieren das noch als Frage, sondern prüfen die Konfiguration im Schadenfall. Bei grösseren KMU und in industriellen Branchen wird zusätzlich eine Netzwerksegmentierung erwartet: Server, Clients und IoT-Geräte sollten nicht im selben Netzwerksegment liegen. Wer einmal eingedrungen ist, soll sich nicht lateral im gesamten Netzwerk bewegen können.
4. Backup mit regelmässiger Wiederherstellungsprüfung
Ein Backup allein reicht in der Regel nicht aus. Gefordert wird, dass die Wiederherstellung regelmässig getestet wird und dass mindestens eine Kopie räumlich getrennt aufbewahrt wird. Hintergrund ist die Erfahrung, dass Angreifer gezielt Backups kompromittieren – ein lokales Backup ist im Ernstfall häufig wertlos.
Eine gängige Variante ist die 3-2-1-Regel: drei Kopien der Daten, auf zwei verschiedenen Medientypen, eine Kopie räumlich getrennt (Offsite). Versicherer fragen inzwischen häufig explizit nach, ob die Wiederherstellung getestet wird – laut einer Marktanalyse des Versicherer-Dienstleisters CyberDirekt stellen 88 Prozent der Versicherer eine entsprechende Risikofrage.
5. Patch-Management
Die meisten Versicherer verlangen einen dokumentierten Patch-Prozess: kritische Sicherheits-Updates sollten innerhalb eines definierten Zeitfensters (häufig 14 bis 30 Tage nach Veröffentlichung) eingespielt werden. Verzögerte Patches sind eine der häufigsten Ursachen für erfolgreiche Angriffe – die Antwort auf den entsprechenden Punkt im Antrags-Fragebogen fällt in der Praxis oft dürftig aus.
6. E-Mail-Security und Phishing-Schutz
Da Phishing der häufigste Einstiegsweg für Ransomware-Angriffe ist, fragen Versicherer zunehmend nach technischen und organisatorischen Schutzmassnahmen für E-Mail. Dazu gehören SPF-, DKIM- und DMARC-Konfiguration, ein Spam- beziehungsweise Malware-Filter auf Server-Ebene und regelmässige Sensibilisierung der Mitarbeitenden.
7. Mitarbeiterschulungen mit Nachweis
Mitarbeitende werden in den Antrags-Fragebögen als grösste Schwachstelle eingestuft. Viele Versicherer erwarten einen Nachweis über regelmässige Schulungen – etwa in Form einer Phishing-Simulation oder dokumentierter Teilnahme. Die Häufigkeit variiert; jährliche Wiederholung gilt als Mindeststandard. Die erwähnte CyberDirekt-Marktanalyse zeigt, dass 41 Prozent der Versicherer IT-Sicherheitstrainings für Beschäftigte explizit als Voraussetzung formulieren.
8. Schriftlicher Incident-Response-Plan
Ein schriftlicher Notfallplan mit klaren Verantwortlichkeiten, Eskalationsketten und Meldewegen wird von vielen Versicherern erwartet – bei mittleren und grösseren KMU praktisch durchgängig. Der Plan sollte mindestens folgende Punkte abdecken: Wer wird wann informiert? Welche externen Stellen (IT-Partner, Versicherer, BACS, Polizei) werden wann kontaktiert? Welche Systeme werden im Notfall isoliert oder abgeschaltet?
Für kleine KMU sind die Hürden beim Antragsverfahren erfahrungsgemäss tiefer. Versicherer formulieren ihre Anforderungen oft gestaffelt – wer weniger als 30 Mitarbeitende hat und einen Umsatz unter einer bestimmten Schwelle aufweist, bekommt in der Regel einen vereinfachten Fragebogen. Trotzdem empfiehlt es sich, die IT-Sicherheit auch dann zu dokumentieren.
Was im Antrags-Fragebogen typischerweise gefragt wird
Die folgende Tabelle zeigt beispielhaft, welche Fragen in einem Antrags-Fragebogen auftauchen können und welcher Nachweis jeweils erwartet wird. Die Tabelle ersetzt keine Versicherungsberatung – sie gibt aber einen konkreten Anhaltspunkt für die Vorbereitung.
Antragsfragen und erwartete Nachweise
| Frage im Antrags-Fragebogen | Erwartete IT-Massnahme | Typischer Nachweis | KPX-Service |
|---|---|---|---|
| Werden alle externen Zugänge mit MFA abgesichert? | Conditional Access / MFA auf Cloud-Apps, VPN und administrativen Konten | Konfiguration der Auth-Systeme (z.B. Microsoft Entra ID) | Managed Microsoft 365 |
| Setzen Sie EDR oder eine vergleichbare Bedrohungserkennung ein? | Verhaltensbasierte EDR auf Client und Server, zentral überwacht | EDR-Coverage-Report | Managed Endpoint Detection & Response |
| Wie ist das Netzwerk segmentiert? | Logische Segmentierung von Servern, Clients und Gästen | Netzwerkplan mit VLAN-Dokumentation | Managed Firewall |
| Wie werden Daten gesichert? | 3-2-1-Backup mit Offsite-Kopie und regelmässigen Restore-Tests | Backup-Logs, Protokolle der Wiederherstellungstests | Managed Backup |
| Wie ist das Patch-Management geregelt? | Automatisiertes Patchen mit definiertem Wartungsfenster | Patch-Status-Reports aus dem RMM-Tool | Managed Client |
| Wie schützen Sie sich vor Phishing? | E-Mail-Filter, SPF/DKIM/DMARC und regelmässige Awareness-Massnahmen | Konfiguration und Awareness-Reports | Managed E-Mail Security |
| Wie werden Mitarbeitende geschult? | Jährliche Schulung mit dokumentierter Teilnahme, idealerweise Phishing-Simulation | Teilnahmeliste oder Audit-Bericht | Schulungs- und Awareness-Programm |
| Gibt es einen schriftlichen Incident-Response-Plan? | Notfallplan mit Rollen, Meldewegen und Eskalationsketten | Schriftlich dokumentiertes IR-Dokument | IT-Notfallplan-Service |
Selbst-Check: Was wird in der Regel erwartet?
Die folgende Checkliste kann als grobe Orientierung dienen. Sie ersetzt keine Versicherungsberatung, hilft aber einzuschätzen, ob das eigene Unternehmen die gängigsten Anforderungen bereits erfüllt.
- MFA für E-Mail, VPN, Cloud-Dienste und administrative Konten aktiv
- Firewall mit dokumentierter Konfiguration im Einsatz
- Antivirus oder EDR auf allen Endgeräten und Servern installiert
- Patch-Management mit definiertem Wartungsfenster (14–30 Tage für kritische Updates)
- Backup-Strategie mit mindestens einer Offsite-Kopie
- Schriftlicher Notfallplan mit Eskalationsketten und Meldewegen
- EDR oder vergleichbare Bedrohungserkennung auf allen Endgeräten
- Regelmässige Wiederherstellungstests der Backups (mindestens jährlich)
- Netzwerksegmentierung zwischen Servern, Clients und Gästen
- SPF-, DKIM- und DMARC-Einträge für die eigene Domain konfiguriert
- Jährliche Mitarbeiterschulungen mit dokumentierter Teilnahme
- Phishing-Simulation als regelmässiger Bestandteil der Awareness
- Lückenloses Logging und Monitoring mit Auswertung der Vorfälle
- Externe Sicherheitsaudits oder Pen-Tests (mindestens jährlich)
- MDR/SOC-Betreuung durch einen externen IT-Sicherheitspartner
- Nachweis eines anerkannten Sicherheits-Labels (z.B. Cyber-Safe)
- Kontinuierliche Verbesserung mit dokumentierten Lessons Learned
Obliegenheiten im Schadenfall
Eine Cyberversicherung federt die finanziellen Folgen eines Vorfalls ab – sie ersetzt aber nicht die Prävention. Im Schadenfall muss nachgewiesen werden, dass die verlangten Sicherheitsstandards zum Zeitpunkt des Vorfalls vorhanden waren. Wer die zugesicherten Massnahmen nicht nachweisen kann, riskiert eine Kürzung oder Ablehnung der Leistung. Die Beweislast liegt beim versicherten Unternehmen.
Der folgende Ablauf zeigt, wie ein typischer Schadenfall aussehen kann – und welche Fristen einzuhalten sind.
Meldeprozess bei einem Cybervorfall
Ablauf nach BACS-Empfehlung (Ransomware-Leitfaden vom Januar 2025) und typischer AVB-Praxis. Die Lösegeldzahlung wird vom BACS ausdrücklich nicht empfohlen.
Das Bundesamt für Cybersicherheit (BACS) rät ausdrücklich davon ab, auf Lösegeldforderungen einzugehen. Lösegeldzahlungen garantieren weder die Rückgabe der Daten noch das Ende der Bedrohung. Im Ernstfall sollte der Vorfall zuerst mit der Polizei und dem Versicherer koordiniert werden, bevor irgendeine Zahlung fliesst.
Labels als Nachweis für die IT-Sicherheit
Wer die eigenen Sicherheitsmassnahmen extern bestätigen lassen möchte, kann auf anerkannte Schweizer Labels zurückgreifen. Sie bieten nicht nur Versicherern einen schnellen Überblick, sondern schaffen auch intern Transparenz und stärken das Sicherheitsbewusstsein auf Entscheiderebene.
- 1
Cyber-Safe – Schweizer Label für KMU und Gemeinden, das einen neutralen Audit-Prozess für Cybersicherheit bietet. Entwickelt von der Association Suisse pour le Label de Cybersécurité (ASLaC), anerkannt vom Bund im Rahmen der nationalen Cyberstrategie. Mehrere hundert KMU in der Schweiz sind bereits zertifiziert.
- 2
CyberSeal – Gütesiegel der Allianz Digitale Sicherheit Schweiz für IT-Dienstleister. Es prüft drei Bereiche: Organisation (Dokumentation, Zuständigkeiten, Schulung), Technik (Zugriffsschutz, Datensicherung, Berechtigungen) und Prozesse (Monitoring, Incident Management). Die Audit-Kosten für drei Jahre Gültigkeit liegen bei rund 4'900 Franken – eine Investition, die sich für spezialisierte IT-Dienstleister meist lohnt.
Beide Labels sind freiwillig, können aber den Antragsprozess bei Versicherern erleichtern, weil ein anerkannter externer Audit bereits vorliegt. Wer seinen IT-Dienstleister mit der Audit-Vorbereitung beauftragt, verschafft sich gleichzeitig einen klaren Massnahmenplan zur Umsetzung der Versicherer-Anforderungen.
Wie KPX bei der Umsetzung unterstützen kann
Die genannten Anforderungen decken sich in weiten Teilen mit den Managed Services, die KPX für KMU in der Deutschschweiz bereits betreibt. Das bedeutet: Für Unternehmen, die ihre IT in die Hände eines erfahrenen Managed Service Providers geben, sind viele der geforderten Massnahmen bereits Teil der täglichen Arbeit – und können im Schadenfall dokumentiert nachgewiesen werden.
Managed Services, die typische Versicherer-Anforderungen abdecken
Die folgenden KPX-Services erfüllen die zentralen technischen Voraussetzungen, die in Cyberversicherungs-Anträgen erwartet werden:
Managed Endpoint Detection & Response (EDR)
Verhaltensbasierte Bedrohungserkennung mit KI-gestützter Reaktion. Wird von vielen Versicherern als Standard erwartet – bei grösseren KMU praktisch durchgängig.
Managed Security (SOC / MDR)
24/7-Überwachung und Reaktionsprozess durch ein Security Operations Center. Entspricht der SVV-Empfehlung für KMU ab 30 PC-Arbeitsplätzen.
Managed Backup mit Restore-Tests
Immutable Backups mit automatischen Wiederherstellungstests. Voraussetzung, dass im Schadenfall die Daten ohne Lösegeldzahlung wiederhergestellt werden können.
Managed Firewall
Next-Generation Firewall mit Intrusion Prevention und Netzwerksegmentierung. Wird bei industriellen KMU zusätzlich erwartet.
Möchten Sie wissen, wie gut Ihre aktuelle IT-Sicherheit gegenüber typischen Versicherer-Anforderungen aufgestellt ist? In einem kostenlosen Erstgespräch analysieren wir Ihre Situation und zeigen Ihnen konkrete nächste Schritte.
Jetzt Ihre individuelle ErstanalyseHäufige Fragen zur Cyberversicherung
Cyberversicherung: Fragen und Antworten
Sie möchten wissen, wie gut Ihre IT-Sicherheit gegenüber den Anforderungen von Cyberversicherern aufgestellt ist? In einem unverbindlichen Erstgespräch analysieren wir Ihre Situation und zeigen Ihnen konkrete nächste Schritte.
Erstgespräch vereinbarenThemen